Binance heeft op 3 november zijn eerste gedetailleerde verslag vrijgegeven van de inbraak op 29 oktober, waarbij circa $6,34 miljard aan digitale assets betrokken was. Daaruit blijkt dat de aanvallers maandenlang toegang opbouwden voordat ze de wallet-ondertekeninginfrastructuur van de beurs bereikten. De cryptobeurs wijst op social engineering, gecompromitteerde eindpunten en het misbruik van Ethereum's transactieautorisatiefuncties als oorzaken van het incident.

Het bedrijf zei dat de operatie een combinatie was van nep-sollicitatiegesprekken, malware en de compromittering van interne AI-tools. Inmiddels is circa $2,85 miljard bevroren of onderschept, is 98% van de getroffen tokens aangevuld en zijn opnames grotendeels hervat, aldus Binance.

— Binance (@binance) November 3, 2026

In het rapport zei Binance het volledige verslag te publiceren omdat de lessen van het incident verder reiken dan de beurs zelf. Het verslag valt op vanwege de beschreven route: toegang tot het wallet-ondertekeningssysteem werd opgebouwd via werknemers-eindpunten, wervingsprocessen en interne tools in plaats van een directe aanval op de wallets zelf — een reeks die Binance relevant noemde voor de bredere sector.

Aanval begon maanden voordat $6,34 miljard werd gestolen

Volgens Binance begon de inbraak in juni, toen een pas aangenomen Wallet DevOps-engineer een aangepast softwarepakket downloadde tijdens de installatie van een AI-codeertool. De beurs ontdekte het incident, vernieuwde de inloggegevens en verving het apparaat, maar de aanvaller had al informatie geleerd over hoe de engineer aan de wallet-infrastructuur werkte en over andere teamleden.

De engineer werd in september opnieuw aangevallen via een legitieme vacaturewebsite. De aanvaller gaf zich uit voor een recruiter, verplaatste het proces naar een video-interview en vroeg de engineer vervolgens een codeeropdracht te downloaden. Volgens Binance werd malware in de repository uitgevoerd tijdens de installatie en schreef deze naar de werkomputer van de medewerker.

Interne AI-tool werd onderdeel van het aanvalspad

Binance zei dat de aanvallers vervolgens het geïmiteerde apparaat en de AI-tool gebruikten om toegang te krijgen tot de systemen van twee andere engineers. Op 20 oktober ontdekten ze een token voor containerdeployments in het bezit van een Wallet DevOps-medewerker. Met de gestolen inloggegevens lanceerden de aanvallers een container en stuurden ze op 29 oktober schadelijke code naar Binance's wallet-omgeving.

De hackers kregen vervolgens toegang tot een interne wallet-ondertekendienst, waarmee ze de standaard opnameprocedure van de beurs omzeilden.

Aanvallers misbruikten EIP-7702 om crypto te blijven verplaatsen

Verschillende netwerken werden door de inbraak getroffen. Volgens het rapport plunderde de aanvaller vijf hot wallets van Binance — de met internet verbonden wallets die beurzen gebruiken voor dagelijkse transfers — met een totaal van 233,46 miljoen XRP. Bijkomende transfers verplaatsten 970.503 SOL en 44,2 miljoen OP, gevolgd door transfers van 18.270 BTC.

EIP-7702 is een functie van Ethereum die de delegatie van uitvoeringsrechten van een account naar een smart contract mogelijk maakt, en Binance zei dat de aanvallers deze hebben misbruikt. Het onderzoek van het bedrijf detecteerde kwaadaardige nonce-manipulatie — het manipuleren van de volgnummers die Ethereum gebruikt om transacties van een account te ordenen — bij 50 ondertekenings-transacties.

Volgens het rapport werden de kwaadaardige autorisaties niet verwijderd nadat de opnames waren gepauzeerd, omdat het pauzeren van opnames geen optie was die alle transfers direct kon stoppen. De Multi-Party Computation-walletopzet bemoeilijkte de respons verder, omdat er geen enkele privésleutel was waarmee de kwaadaardige autorisaties snel konden worden ingetrokken.

Binance bevriest $2,85 miljard en vult 98% van de tokens aan

Circa $6,34 miljard aan digitale assets is getroffen, volgens Binance mede-CEO Richard Teng. Meer dan $2,85 miljard is bevroren of onderschept met hulp van wetshandhavers, tokenuitgevers en blockchain-intelligencebedrijven, aldus de bestuursvoorzitter.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance heeft toegezegd de verliezen van het incident zelf te dragen in plaats van deze door te belasten aan gebruikers. Op 31 oktober was 98% van de getroffen tokenbezittingen vernieuwd, terwijl de resterende, minder liquide assets in het proces van aankoop waren.

De beurs heeft sindsdien de getroffen walletsysteem- en interne AI-tools herbouwd, gecompromitteerde apparaten vervangen, inloggegevens ingetrokken en AI-gebaseerde detectie van gedragsafwijkingen toegevoegd. Volgens de tijdlijn van Binance staan nog open: de laatste 2% van de tokenaanvulling, de aankoop van de resterende minder liquide assets en voortgezette herstelwerkzaamheden met wetshandhavers, tokenuitgevers en blockchain-intelligencebedrijven rondom fondsen die nog niet bevroren of onderschept zijn.

Bron: CryptoNinjas